sysmonForLinux

最新推荐文章于 2024-12-03 11:08:34 发布

Gary5556

最新推荐文章于 2024-12-03 11:08:34 发布

阅读量2.7k

点赞数

分类专栏： linux security 文章标签：系统安全

本文链接：https://blog.csdn.net/zjh_lll/article/details/120902238

版权

linux 同时被 2 个专栏收录

7 篇文章

订阅专栏

security

1 篇文章

订阅专栏

本文档介绍了如何在Ubuntu 18.04, 20.04及21.04上安装和配置SysmonForLinux，用于监控系统活动。首先，通过GitHub源码和官方文档下载并安装sysmon工具。接着，配置sysmon的日志过滤规则，例如排除特定进程创建、网络连接、文件操作等事件。最后，系统日志将默认输出到syslog，并可通过sysmon提供的工具查看。参考链接提供了更多关于SysmonForLinux的资料。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

sysmonForLinux

0x01 安装

源码github地址
安装文档

示例

Ubuntu 18.04, 20.04 & 21.04

wget -q https://packages.microsoft.com/config/ubuntu/$(lsb_release -rs)/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
sudo apt-get update
sudo apt-get install sysmonforlinux

0x02 配置启动

package安装方式，可以执行sysmon命令
配置启动：sysmon -c config.xml
配置文件config.xml示例

<Sysmon schemaversion="4.81">
  <EventFiltering>
    <!-- Event ID 1 == ProcessCreate. Log all newly created processes -->
    <RuleGroup name="" groupRelation="or">
      <ProcessCreate onmatch="exclude"/>
    </RuleGroup>
    <!-- Event ID 3 == NetworkConnect Detected. Log all network connections -->
    <RuleGroup name="" groupRelation="or">
      <NetworkConnect onmatch="exclude"/>
    </RuleGroup>
    <!-- Event ID 5 == ProcessTerminate. Log all processes terminated -->
    <RuleGroup name="" groupRelation="or">
      <ProcessTerminate onmatch="exclude"/>
    </RuleGroup>
    <!-- Event ID 9 == RawAccessRead. Log all raw access read -->
    <RuleGroup name="" groupRelation="or">
      <RawAccessRead onmatch="exclude"/>
    </RuleGroup>
    <!-- Event ID 10 == ProcessAccess. Log all open process operations -->
    <RuleGroup name="" groupRelation="or">
      <ProcessAccess onmatch="exclude"/>
    </RuleGroup>
    <!-- Event ID 11 == FileCreate. Log every file creation -->
    <RuleGroup name="" groupRelation="or">
      <FileCreate onmatch="exclude"/>
    </RuleGroup>
    <!--Event ID 23 == FileDelete. Log all files being deleted -->
    <RuleGroup name="" groupRelation="or">
      <FileDelete onmatch="exclude"/>
    </RuleGroup>
  </EventFiltering>
</Sysmon>

0x03 日志输出

默认会输出到syslog中，
在sysmon service 启动后，可以通过sysmon提供的查看工具进行查看
sudo tail -f /var/log/syslog | /opt/sysmon/sysmonLogView

0x04 参考

https://github.com/Sysinternals/SysmonForLinux
https://techcommunity.microsoft.com/t5/azure-sentinel/automating-the-deployment-of-sysmon-for-linux-and-azure-sentinel/ba-p/2847054
https://github.com/OTRF/OSSEM-DD/tree/main/linux/sysmon
https://gist.github.com/Cyb3rWard0g/bcf1514cc340197f0076bf1da8954077
https://github.com/microsoft/MSTIC-Sysmon